Mit der Veröffentlichung von X-Ways Forensics in der Version 14.9 wurde nun die Möglichkeit geschaffen, hibernation-Dateien (Ruhezustand) forensisch zu analysieren. Der Autor der dafür ebenfalls verwendbaren frei verfügbaren Bibliothek „Sandman“ Matthieu Suiche ist nun verwundert ob der zeitlichen Koinzidenz. Er hat seine unter GPLv3 stehenden Werkzeuge Ende Februar veröffentlicht. Ich kann mir aber beim besten Willen nicht vorstellen, dass ein professionell agierendes Unternehmen wie X-Ways hier nicht korrekt handelt. Bin über den weiteren Verlauf der Geschichte gespannt und sicher, dass sich alles aufklären lässt. Anbei aber noch die Featureliste von Version 14.9:
* WinHex und X-Ways Forensics geben nun einen Hinweis darauf,
wenn eine Datei in einem NTFS-Dateisystem nur teilweise mit
Daten gefüllt wurde. Solche Dateien werden in der Attribut-
spalte mit der Anmerkung "partial init" (teilweise Initia-
lisierung) versehen und können darauf hin gefiltert werden.
Die Größe des tatsächlich initialisierten/definierten Bereichs
einer Datei wird in der Informationsspalte angezeigt, wenn
anderen Farbe\u003cbr /\u003e\nangezeigt. Suchtreffer im nicht initialisierten Teil einer\u003cbr /\u003e\nDatei werden als \u0026quot;Schlupf usw.\u0026quot; gekennzeichnet. Die Tatsache,\u003cbr /\u003e\ndaß eine Datei auf dem Originaldatenträger nur teilweise\u003cbr /\u003e\ninitialisiert war (aber nicht das Ausmaß) wird auch in\u003cbr /\u003e\nContainern gespeichert und erkennbar.\u003cbr /\u003e\n\u003cbr /\u003e\nAll dies soll fachkundige Computerforensik-Spezialisten davor\u003cbr /\u003e\nbewahren, falsche Schlüsse zu ziehen. Dieses Risiko besteht,\u003cbr /\u003e\nweil Daten, die in den allozierten Clustern einer Datei\u003cbr /\u003e\ngespeichert sind, alte Daten sein können, die auf dem Daten-\u003cbr /\u003e\nträger vorhanden waren, bevor die Cluster jener Datei zuge-\u003cbr /\u003e\nwiesen worden, wenn die Cluster nie tatsächlich mit neuen\u003cbr /\u003e\nDaten überschrieben worden sind. D. h. es kann sich um Daten\u003cbr /\u003e\nhandeln, die mit der Datei nichts zu tun haben, obwohl sie\u003cbr /\u003e\nder logischen Dateigröße zufolge Teil der Datei sind.\u003cbr /\u003e\n\u003cbr /\u003e\nTypischerweise sind u. a. folgende Dateitypen oft nicht\u003cbr /\u003e\nvollständig initialisiert:\u003cbr /\u003e\n- Windows Registry\u003cbr /\u003e\n- Windows Event Log (.evt and .evtx)\u003cbr /\u003e\n- CRMLOG\u003cbr /\u003e\n- Outlook PST\u003cbr /\u003e\n- Outlook Express DBX\u003cbr /\u003e\n- Windows MediaPlayer databases\u003cbr /\u003e\n- Windows Reliability Monitor\u003cbr /\u003e\n- SystemIndex Indexer CiFiles\u003cbr /\u003e\n- Microsoft Network Downloader\u003cbr /\u003e\n- Windows Font Cache\u003cbr /\u003e\n- Windows Vista thumbcache\u003cbr /\u003e\n- Windows rescache\u003cbr /\u003e\n- Microsoft IME User Dictionary\u003cbr /\u003e\n- Java .jsa\u003cbr /\u003e\n..außerdem Datenbank-Dateien, temporäre Dateien und generell\u003cbr /\u003e\nDateien, die von Anwendungen erzeugt wurden, die sich gern\u003cbr /\u003e\nSpeicherplatz vorab reservieren, aus Performanzgründen und/\u003cbr /\u003e\noder um spätere Dateifragmentierung zu vermeiden.\u003cbr /\u003e\n\u003cbr /\u003e\n* Beim Extrahieren von E-Mails und Datei-Anhängen werden\u003cbr /\u003e\nDatei-Anhänge nun Unterobjekte der jeweils zugehörigen E-\u003cbr /\u003e\nMail. (nur mit forensischer Lizenz) Das vereinfacht es deut-\u003cbr /\u003e",1]
);
//–> eine solche Datei geöffnet wird oder wenn Sie sie im Datei-
Modus ansehen, hinter dem Vermerk „Davon initialisiert:“.
Der nicht initialisierte Teil wird in einer anderen Farbe
angezeigt. Suchtreffer im nicht initialisierten Teil einer
Datei werden als „Schlupf usw.“ gekennzeichnet. Die Tatsache,
daß eine Datei auf dem Originaldatenträger nur teilweise
initialisiert war (aber nicht das Ausmaß) wird auch in
Containern gespeichert und erkennbar.
All dies soll fachkundige Computerforensik-Spezialisten davor
bewahren, falsche Schlüsse zu ziehen. Dieses Risiko besteht,
weil Daten, die in den allozierten Clustern einer Datei
gespeichert sind, alte Daten sein können, die auf dem Daten-
träger vorhanden waren, bevor die Cluster jener Datei zuge-
wiesen worden, wenn die Cluster nie tatsächlich mit neuen
Daten überschrieben worden sind. D. h. es kann sich um Daten
handeln, die mit der Datei nichts zu tun haben, obwohl sie
der logischen Dateigröße zufolge Teil der Datei sind.
Typischerweise sind u. a. folgende Dateitypen oft nicht
vollständig initialisiert:
– Windows Registry
– Windows Event Log (.evt and .evtx)
– CRMLOG
– Outlook PST
– Outlook Express DBX
– Windows MediaPlayer databases
– Windows Reliability Monitor
– SystemIndex Indexer CiFiles
– Microsoft Network Downloader
– Windows Font Cache
– Windows Vista thumbcache
– Windows rescache
– Microsoft IME User Dictionary
– Java .jsa
..außerdem Datenbank-Dateien, temporäre Dateien und generell
Dateien, die von Anwendungen erzeugt wurden, die sich gern
Speicherplatz vorab reservieren, aus Performanzgründen und/
oder um spätere Dateifragmentierung zu vermeiden.
* Beim Extrahieren von E-Mails und Datei-Anhängen werden
Datei-Anhänge nun Unterobjekte der jeweils zugehörigen E-
Mail. (nur mit forensischer Lizenz) Das vereinfacht es deut-
andensein von Outlook 2003 oder neuer extrahiert\u003cbr /\u003e\nwerden, ist für asiatische Sprachen nun originalgetreuer.\u003cbr /\u003e\n\u003cbr /\u003e\n* Der Befehl im Kontextmenü des Verzeichnis-Browsers, der in\u003cbr /\u003e\nfrüheren Versionen die enthaltende E-Mail zu einem gegebenen\u003cbr /\u003e\nDatei-Anhang gefunden hat, wurde umbenannt in \u0026quot;Übergeordnetes\u003cbr /\u003e\nObjekt aufsuchen\u0026quot;, in das Untermenü \u0026quot;Position\u0026quot; verschoben und\u003cbr /\u003e\nkann nun auf _beliebige_ Dateien angewandt werden. Seine\u003cbr /\u003e\nFunktion ist nun identisch mit der Rücklöschtaste (Backspace),\u003cbr /\u003e",1]
);
//–> lich, die Dateianhänge zu einer bestimmten E-Mail zu finden
oder die E-Mail zu finden, die einen bestimmten Datei-Anhang
enthält. Wegen dieses Verhältnisses (übergeordnetes und
untergeordnetes Objekt) können Sie nun bequem die enthaltende
E-Mail beim Kopieren von Anhängen mit in einen Container
kopieren, oder beim Kopieren von E-Mails die zugehörigen
Anhängen mit kopieren. Das Markieren einer E-Mail markiert
auch ihre Datei-Anhänge. Das Markieren eines Datei-Anhangs
markiert auch die enthaltende E-Mail, zumindest halb. Die
alte Logik der E-Mail-Extraktion von v14.8 und älter, in der
Datei-Anhänge in einem separaten Verzeichnis namens "Attach"
gesammelt wurden, kommt noch immer zur Anwendung, wenn Sie
keine Dateien mit Unterobjekte erlauben (s. Optionen |
Verzeichnis-Browser). Beachten Sie, daß diese Option in
künftigen Versionen früher oder später entfallen wird. Sie
war in v14.8 nur aus Gründen der Kompatibilität mit älteren
Versionen eingeführt worden.
* Die Namen von angehängten und eingebetteten Dateien, die
zu E-Mails im selben Ordner im selben E-Mail-Archiv gehören,
werden nun normalerweise nicht mehr durch Einfügen einer
laufenden Nummer in eckigen Klammen vor der Dateiendung
künstlich eindeutig gemacht, so daß sie nun i. d. R. authen-
tisch/original sind.
* Die Wiedergabe des Rumpfes von E-Mails, die aus PST-Archiven
bei Vorhandensein von Outlook 2003 oder neuer extrahiert
werden, ist für asiatische Sprachen nun originalgetreuer.
* Der Befehl im Kontextmenü des Verzeichnis-Browsers, der in
früheren Versionen die enthaltende E-Mail zu einem gegebenen
Datei-Anhang gefunden hat, wurde umbenannt in „Übergeordnetes
Objekt aufsuchen“, in das Untermenü „Position“ verschoben und
kann nun auf beliebige Dateien angewandt werden. Seine
Funktion ist nun identisch mit der Rücklöschtaste (Backspace),
andt wird oder Sie versuchen,\u003cbr /\u003e\nE-Mails aus ihnen zu extrahieren.\u003cbr /\u003e\n\u003cbr /\u003e\n* Die E-Mail-Extraktion prüft nun Dateien mit der Endung .pst\u003cbr /\u003e\nauf ihre Signatur und prüft ursprüngliche Dateien mit der\u003cbr /\u003e\nEndung .eml auf das Vorhandensein eingebetteter Dateien, bevor\u003cbr /\u003e\nmit der eigentlichen Extraktion begonnen wird. Dies reduziert\u003cbr /\u003e\ndie Anzahl der Dateien, für die unnötigerweise \u0026quot;Keine E-Mails\u003cbr /\u003e\ngefunden in…\u0026quot; ausgegeben wird.\u003cbr /\u003e\n\u003cbr /\u003e\n* Dateien, die aus ursprünglichen .eml-Dateien extrahiert\u003cbr /\u003e\nwerden, werden darüber hinaus nun direkt als Unterobjekte\u003cbr /\u003e\nausgegeben, und die E-Mail selbst wird nicht mehr unnötiger-\u003cbr /\u003e\nweise ein weiteres Mal aufgelistet.\u003cbr /\u003e\n\u003cbr /\u003e\n* Einige weitere kleine Verbesserungen/Fehlerbehebunge\u003cwbr /\u003en für die\u003cbr /\u003e\nVerarbeitung von E-Mail, betreffend E-Mails mit ungewöhnlichen\u003cbr /\u003e\nZeilenumbruchformaten sowieso Pegasus Mail und PocoMail.\u003cbr /\u003e\n\u003cbr /\u003e\n* Besser strukturierte und optisch ansprechendere Präsentation\u003cbr /\u003e\nder internen Datei-Metadaten im Details-Modus für verschiedene\u003cbr /\u003e\nDateitypen. (nur mit forensischer Lizenz)\u003cbr /\u003e\n\u003cbr /\u003e\n* Die Darstellung von .lnk Shortcut-Dateien im Vorschau-Modus\u003cbr /\u003e\nund im Einsehen-Befehl ist nun optisch ansprechender. (nur mit\u003cbr /\u003e\nforensischer Lizenz)\u003cbr /\u003e",1]
);
//–> und er ist nun mit allen Lizenzarten verfügbar. Außerdem
verläßt er eine rekursive Ansicht nicht mehr zugunsten einer
nicht-rekursiven Ansicht, wenn das übergeordnete Objekt in
dieser rekursiven Ansicht bereits enthalten ist.
* Auch nach dem Erkunden eines Verzeichnisses durch Anklicken
im Verzeichnisbaum finden Sie nun einen „..“-Eintrag ganz oben
im Verzeichnis-Browser, den Sie doppelt anklicken können, um
aufwärts zum jeweiligen Elternverzeichnis zu navigieren, genau
wie mit der Rücklöschtasten.
* Paßwortgeschützte Outlook PST E-Mail-Archive werde nun mit
„e!“ in der Attributspalte gekennzeichnet, wenn entweder der
Verschlüsselungstest auf sie angewandt wird oder Sie versuchen,
E-Mails aus ihnen zu extrahieren.
* Die E-Mail-Extraktion prüft nun Dateien mit der Endung .pst
auf ihre Signatur und prüft ursprüngliche Dateien mit der
Endung .eml auf das Vorhandensein eingebetteter Dateien, bevor
mit der eigentlichen Extraktion begonnen wird. Dies reduziert
die Anzahl der Dateien, für die unnötigerweise „Keine E-Mails
gefunden in…“ ausgegeben wird.
* Dateien, die aus ursprünglichen .eml-Dateien extrahiert
werden, werden darüber hinaus nun direkt als Unterobjekte
ausgegeben, und die E-Mail selbst wird nicht mehr unnötiger-
weise ein weiteres Mal aufgelistet.
* Einige weitere kleine Verbesserungen/Fehlerbehebungen
für die Verarbeitung von E-Mail, betreffend E-Mails mit ungewöhnlichen
Zeilenumbruchformaten sowieso Pegasus Mail und PocoMail.
der internen Datei-Metadaten im Details-Modus für verschiedene
Dateitypen. (nur mit forensischer Lizenz)
* Die Darstellung von .lnk Shortcut-Dateien im Vorschau-Modus
und im Einsehen-Befehl ist nun optisch ansprechender. (nur mit
forensischer Lizenz)
and überging. Außerdem können\u003cbr /\u003e\neinzelne xpress-Blöcke aus dem \u0026quot;Schlupf\u0026quot; von hiberfil.sys-\u003cbr /\u003e\nDateien dekomprimiert werden, die von einem noch früheren\u003cbr /\u003e\nZeitpunkt stammen. Diese Funktion finden Sie unter Bearbeiten\u003cbr /\u003e\n| Konvertieren. (nur mit forensischer Lizenz)\u003cbr /\u003e\n\u003cbr /\u003e\n* Unterstützung für echte Unicode-Dateinamen bei der Untersu-\u003cbr /\u003e\nchung von Zip, RAR und 7zip-Archiven (nur mit forensischer\u003cbr /\u003e\nLizenz). Beachten Sie, daß Sie zum korrekten Verarbeiten von\u003cbr /\u003e\nDateien in Zip-Archiven mit echten Unicode-Dateinamen in den\u003cbr /\u003e\nFalleigenschaften erst die richtige Codepage angeben müssen.\u003cbr /\u003e\nWenn das z. B. Zip-Archive sind, die unter Linux erstellt\u003cbr /\u003e\nwurden, ist das wahrscheinlich UTF-8. Für Zip-Archive, die\u003cbr /\u003e\nunter Windows in Asien erstellt wurden, ist das wahrschein-\u003cbr /\u003e\nliche eine regionale Codepage.\u003cbr /\u003e\n\u003cbr /\u003e\n* Bessere Unterstützung für sehr große Archive über 2 GB.\u003cbr /\u003e\nEinige weitere kleinere Verbesserungen in bezug auf die\u003cbr /\u003e\nVerarbeitung von Archiven.\u003cbr /\u003e\n\u003cbr /\u003e\n* Erzeugungs- und Zugriffszeitstempel von Dateien in Zip-\u003cbr /\u003e\nArchiven werden nun in den Datei-Überblick aufgenommen,\u003cbr /\u003e\nsofern verfügbar.\u003cbr /\u003e\n\u003cbr /\u003e\n* Die Option, freien Laufwerksspeicher in ansonsten voll-\u003cbr /\u003e\nständige sektorgenaue Images von Partitionen/Volumes _nicht_\u003cbr /\u003e\nmit aufzunehmen, ist nun auch in X-Ways Forensics verfügbar,\u003cbr /\u003e\nnicht nur in WinHex mit Specialist oder forensischer Lizenz.\u003cbr /\u003e",1]
);
//–>
* Metadaten-Extraktion aus MS Office 2007 XML, OpenOffice XML,
StarOffice XML, .dmp Speicher-Dumps und Dateien vom Typ PNF
(Precompiled Setup Information). Metadaten-Extraktion aus
hiberfil.sys-Dateien, .wim Vista Image-Dateien und GZ-Archiven
im Details-Modus. (nur mit forensischer Lizenz)
* Möglichkeit, sowohl aktive als auch inaktive ganze Windows
XP 32-bit hiberfil.sys-Dateien zu dekomprimieren, nachdem man
sie aus dem Image herauskopiert hat, um ein Abbild des physi-
schen Arbeitsspeichers von einem früheren Zeitpunkt zu erhalten,
als der Computer in den Ruhezustand überging. Außerdem können
einzelne xpress-Blöcke aus dem „Schlupf“ von hiberfil.sys-
Dateien dekomprimiert werden, die von einem noch früheren
Zeitpunkt stammen. Diese Funktion finden Sie unter Bearbeiten
| Konvertieren. (nur mit forensischer Lizenz)
* Unterstützung für echte Unicode-Dateinamen bei der Untersu-
chung von Zip, RAR und 7zip-Archiven (nur mit forensischer
Lizenz). Beachten Sie, daß Sie zum korrekten Verarbeiten von
Dateien in Zip-Archiven mit echten Unicode-Dateinamen in den
Falleigenschaften erst die richtige Codepage angeben müssen.
Wenn das z. B. Zip-Archive sind, die unter Linux erstellt
wurden, ist das wahrscheinlich UTF-8. Für Zip-Archive, die
unter Windows in Asien erstellt wurden, ist das wahrschein-
liche eine regionale Codepage.
* Bessere Unterstützung für sehr große Archive über 2 GB.
Einige weitere kleinere Verbesserungen in bezug auf die
Verarbeitung von Archiven.
* Erzeugungs- und Zugriffszeitstempel von Dateien in Zip-
Archiven werden nun in den Datei-Überblick aufgenommen,
sofern verfügbar.
* Die Option, freien Laufwerksspeicher in ansonsten voll-
ständige sektorgenaue Images von Partitionen/Volumes _nicht_
mit aufzunehmen, ist nun auch in X-Ways Forensics verfügbar,
nicht nur in WinHex mit Specialist oder forensischer Lizenz.
ands des\u003cbr /\u003e\nKontrollkästchens mit der Beschriftung \u0026quot;Ehem. exist. Objekte\u003cbr /\u003e\nanzeigen\u0026quot;. (nur mit forensischer Lizenz)\u003cbr /\u003e\n\u003cbr /\u003e\n* Möglichkeit, sich mit dem Attributfilter auf Dateien zu\u003cbr /\u003e\nkonzentrieren, die Unterobjekte haben. (nur mit forensischer\u003cbr /\u003e\nLizenz)\u003cbr /\u003e\n\u003cbr /\u003e\n* Immer wenn einer oder mehrere Filter aktiv sind, die auch\u003cbr /\u003e\ntatsächlich Dateien in der aktuellen Anzeige des Verzeichnis-\u003cbr /\u003e\nBrowsers herausfiltern, sind die beiden blauem Filtersymbole\u003cbr /\u003e\nin der Überschriftszeile des Verzeichnis-Browser nun anklickbar\u003cbr /\u003e\nund ermöglichen es, *alle* Filter mit einem einzigen Mausklick\u003cbr /\u003e\nauf einmal auszuschalten, um sicherzustellen, daß Sie keine\u003cbr /\u003e\nDatei versehentlich übersehen. Dies war ein oft vorgetragener\u003cbr /\u003e\nWunsch der Benutzer. Die Filtersymbole bewirken auch ein voll-\u003cbr /\u003e\nständiges Anzeigen der Suchtrefferliste, indem bei mehreren\u003cbr /\u003e\nausgewählten Suchbegriffen die Einstellung \u0026quot;Min. x\u0026quot; oder \u0026quot;Alle\u003cbr /\u003e\nx\u0026quot; auf \u0026quot;Min. 1\u0026quot; zurückgesetzt wird. Ebenso wird die Option\u003cbr /\u003e\n\u0026quot;Nur 1 Treffer pro Datei auflisten\u0026quot; ggf. ausgeschaltet. (nur\u003cbr /\u003e\nmit forensischer Lizenz)\u003cbr /\u003e\n\u003cbr /\u003e\n* Möglichkeit, .e01 Evidence-Files mit einer Segmentgröße von\u003cbr /\u003e\nüber 2 GB zu schreiben und zu lesen. Tatsächlich ist es nun\u003cbr /\u003e\nüberhaupt nicht mehr erforderlich, sie in Segmente zu zerlegen\u003cbr /\u003e\n(außer natürlich wenn das Zieldateisystem FAT32 ist oder Sie\u003cbr /\u003e",1]
);
//–> Sie ist nun verfügbar, weil im Prinzip selektive Sicherungen
vollständigen Sicherungen je nach den rechtlichen Verhält-
nissen u. U. sowieso vorzuziehen sind oder sogar explizit
gefordert werden, und weil manche Staatsanwaltschaften
bestimmte Ermittlungen ohnehin auf existierende Dateien
beschränken möchten. Besondere Vorkehrungen helfen, das
unbeabsichtigte Einschalten dieser Option zu verhindern.
* Möglichkeit, nur solche ehemals existierenden Dateien
herauszufiltern, deren erster Cluster bekanntermaßen nicht
mehr verfügbar ist, mittels des neuen dritten Zustands des
Kontrollkästchens mit der Beschriftung „Ehem. exist. Objekte
anzeigen". (nur mit forensischer Lizenz)
* Möglichkeit, sich mit dem Attributfilter auf Dateien zu
konzentrieren, die Unterobjekte haben. (nur mit forensischer
Lizenz)
* Immer wenn einer oder mehrere Filter aktiv sind, die auch
tatsächlich Dateien in der aktuellen Anzeige des Verzeichnis-
Browsers herausfiltern, sind die beiden blauem Filtersymbole
in der Überschriftszeile des Verzeichnis-Browser nun anklickbar
und ermöglichen es, *alle* Filter mit einem einzigen Mausklick
auf einmal auszuschalten, um sicherzustellen, daß Sie keine
Datei versehentlich übersehen. Dies war ein oft vorgetragener
Wunsch der Benutzer. Die Filtersymbole bewirken auch ein voll-
ständiges Anzeigen der Suchtrefferliste, indem bei mehreren
ausgewählten Suchbegriffen die Einstellung „Min. x“ oder „Alle
x“ auf „Min. 1“ zurückgesetzt wird. Ebenso wird die Option
„Nur 1 Treffer pro Datei auflisten“ ggf. ausgeschaltet. (nur
mit forensischer Lizenz)
* Möglichkeit, .e01 Evidence-Files mit einer Segmentgröße von
über 2 GB zu schreiben und zu lesen. Tatsächlich ist es nun
überhaupt nicht mehr erforderlich, sie in Segmente zu zerlegen
(außer natürlich wenn das Zieldateisystem FAT32 ist oder Sie
anderen Produkten, lassen Sie\u003cbr /\u003e\nsie wie früher bei 2047 MB oder weniger splitten. (nur mit\u003cbr /\u003e\nforensischer Lizenz)\u003cbr /\u003e\n\u003cbr /\u003e\n* Berichtstabellen, die von X-Ways Forensics selbst erzeugt\u003cbr /\u003e\nwurden (durch v14.9 Preview 3 und neuer) können in Dialog-\u003cbr /\u003e\nfenstern von benutzerdefinierten Berichtstabellen nun optisch\u003cbr /\u003e\nunterschieden werden.\u003cbr /\u003e\n\u003cbr /\u003e\n* Die Größenbeschränkung, die festlegt, wann ein Bild als\u003cbr /\u003e\nirrelevant für die Hautfarbenerkennung eingestuft wird, ist\u003cbr /\u003e\nnun etwas strenger: Breite oder Höhe nicht mehr als 8 Pixel,\u003cbr /\u003e\noder Breite und Höhe beide nicht mehr als 16 Pixel. (nur mit\u003cbr /\u003e\nforensischer Lizenz)\u003cbr /\u003e\n\u003cbr /\u003e\n* Möglichkeit, virtuell angehängte Dateien in einem Datei-\u003cbr /\u003e\nÜberblick über das Verzeichnis-Browser-Kontextmen\u003cwbr /\u003eü umzube-\u003cbr /\u003e\nnennen. (nur mit forensischer Lizenz)\u003cbr /\u003e\n\u003cbr /\u003e\n* Indexierung: Unnötige Unterbrechung durch eine vom Programm\u003cbr /\u003e\ngeforderte Bestätigung durch den Benutzer in bestimmte Situa-\u003cbr /\u003e\ntionen verhindert. (nur mit forensischer Lizenz)\u003cbr /\u003e\n\u003cbr /\u003e\n* Bilder, die in anderen Dateien eingebettet sind, können nun\u003cbr /\u003e\nauch dann in den Datei-Überblick aufgenommen werden, wenn die\u003cbr /\u003e\njeweilige Trägerdatei komprimiert ist. (nur mit forensischer\u003cbr /\u003e\nLizenz)\u003cbr /\u003e\n\u003cbr /\u003e\n* Aus Videos extrahierte Einzelbilder werden nun auch bei\u003cbr /\u003e\nVerwendung von MPlayer nach der jeweiligen Videodatei benannt\u003cbr /\u003e\n(voll Unicode-fähig), nicht nur nach dem Zeitindex. Bei\u003cbr /\u003e\nVerwendung von Forensic Framer werden etwaige echte Unicode-\u003cbr /\u003e\nZeichen im Dateinamen nun beibehalten. (nur mit forensischer\u003cbr /\u003e\nLizenz)\u003cbr /\u003e\n\u003cbr /\u003e\n* Wenn Video-Dateien extern angeschaut werden, stellt X-Ways\u003cbr /\u003e\nForensics nun sicher, daß die Namen der Temporärdateien nur\u003cbr /\u003e\ntriviale Unicode-Zeichen enthalten (Latin 1), aus Gründen der\u003cbr /\u003e\nKompatibilität mit Programmen wie MPlayer, die nicht mit\u003cbr /\u003e",1]
);
//–> das Image auf CDs oder DVDs brennen möchten). Um Kompatibilität
mit früheren Version von X-Ways Forensics zu erhalten, mit
EnCase-Versions vor v6 und mit anderen Produkten, lassen Sie
sie wie früher bei 2047 MB oder weniger splitten. (nur mit
forensischer Lizenz)
* Berichtstabellen, die von X-Ways Forensics selbst erzeugt
wurden (durch v14.9 Preview 3 und neuer) können in Dialog-
fenstern von benutzerdefinierten Berichtstabellen nun optisch
unterschieden werden.
* Die Größenbeschränkung, die festlegt, wann ein Bild als
irrelevant für die Hautfarbenerkennung eingestuft wird, ist
nun etwas strenger: Breite oder Höhe nicht mehr als 8 Pixel,
oder Breite und Höhe beide nicht mehr als 16 Pixel. (nur mit
forensischer Lizenz)
* Möglichkeit, virtuell angehängte Dateien in einem Datei-
Überblick über das Verzeichnis-Browser-Kontextmenü umzube-
nennen. (nur mit forensischer Lizenz)
* Indexierung: Unnötige Unterbrechung durch eine vom Programm
geforderte Bestätigung durch den Benutzer in bestimmte Situa-
tionen verhindert. (nur mit forensischer Lizenz)
* Bilder, die in anderen Dateien eingebettet sind, können nun
auch dann in den Datei-Überblick aufgenommen werden, wenn die
jeweilige Trägerdatei komprimiert ist. (nur mit forensischer
Lizenz)
* Aus Videos extrahierte Einzelbilder werden nun auch bei
Verwendung von MPlayer nach der jeweiligen Videodatei benannt
(voll Unicode-fähig), nicht nur nach dem Zeitindex. Bei
Verwendung von Forensic Framer werden etwaige echte Unicode-
Zeichen im Dateinamen nun beibehalten. (nur mit forensischer
Lizenz)
* Wenn Video-Dateien extern angeschaut werden, stellt X-Ways
Forensics nun sicher, daß die Namen der Temporärdateien nur
triviale Unicode-Zeichen enthalten (Latin 1), aus Gründen der
Kompatibilität mit Programmen wie MPlayer, die nicht mit
echten Unicode-Zeichen im Dateinamen umgehen können. (seit
v14.8 SR-4)
* Das automatische Benennen per Signatur gefundener JPEG-
Dateien nach Kameramodell und Aufnahmezeitpunkt, sofern
möglich, ist nun optional. (betrifft Specialist- und foren-
sische Lizenzen)
* Es ist nun möglich, nur halb markierte Dateien im Verzeichnis-
Browser auszugeben oder diese herauszufiltern (s. Verzeichnis-
Browser-Optionen, nur mit forensischer Lizenz).
* Option zum Export von Listen als Textdateien in Unicode.
(nur mit forensischer Lizenz)
* Ein Fehler wurde behoben, der unter bestimmten Umständen die
Signatursuche eine Datei erneut finden ließ, obwohl sie bereits
im Datei-Überblick enthalten war und eine Verdoppelung vermie-
den werden sollte.
* Nun fast vollständige interne Verwendung von Unicode für die
Benutzeroberfläche, so daß die chinesische und die japanische
Übersetzung auch dann korrekt angezeigt werden können, wenn die
in Windows aktive Codepage nicht 936 bzw. 932 ist. Verbesserte
Unicode-Unterstützung auch für Fallberichte im HTML-Format in
Chinesisch und Japanisch.
* Für bestimmte Dateitypen erkennt die Dateitypprüfung den
korrekten Dateityp nun, ohne den Typstatus grundsätzlich auf
„neu erkannt“ zu setzen, selbst wenn der Typ nicht mit der
Dateinamenserweiterung übereinstimmt. Dies geschieht für
Windows Registry-Dateien (weil es normal ist, wenn diese Dateien
überhaupt keine Endung haben) und für HTML/XML-Dateien (weil
es eine Vielzahl von Endungen geben kann, die alle normal
und plausibel sind). Dies hilft, die Anzahl der Dateien mit
dem Typstatus „neu erkannt“ niedrig zu halten, und erlaubt es,
sich besser auf solche Dateien konzentrieren können, die u. U.
tatsächlich falsch benannt wurden. (nur mit forensischer Lizenz)
* Findet gelöschte Partitionen nun auch dann automatisch,
wenn sie 64 Sektoren von zuvor gefundenen Partitionen entfernt
liegen (nicht nur 63 oder 2048 Sektoren wie zuvor).
* Seit der Einführung von 256-Bit-AES in WinHex/X-Ways Forensics
wurde der Verschlüsselungsalgorithmus PC1 aus Gründen der
Kompatibilität mit älteren Versionen noch weiter unterstützt.
Diese Unterstützung wurde nun eingestellt.
* Dateien vom Typ XML und HTML werden nicht mehr der Berichts-
tabelle „Ohne erkennbaren textuellen Inhalt“ hinzugefügt, wenn
die Viewer-Komponente für die logische Suche/die Indexierung
keinen Text mehr aus ihnen extrahieren kann. (nur mit foren-
sischer Lizenz)
* Ein Fehler wurde behoben, der verhinderte, daß Dateien,
deren Inhalte auf NTFS-Partitionen über 2 TB hinter der 2-TB-
Grenze lagen, richtig gelesen wurden.
* Der erste Schritt der besonders intensiven Dateisystem-
Datenstruktur-Suche auf NTFS-Partitionen funktioniert nun
auch hinter der 2-TB-Grenze. (seit v14.8 SR-5)
* Ein Fehler wurde behoben beim Zusammensetzen von RAIDs über
2 TB. (seit v14.8 SR-1)
* X-Ways Forensics und X-Ways Investigator geben Ihnen nun
automatisch bis zu drei Mal Bescheid, wenn Sie sich dem Ende
Ihrer Update-Berechtigung nähern.
* Die Viewer-Komponent wird nun erst dann geladen, wenn sie
tatsächlich benötigt wird, nicht schon zwingend beim Start
der Software. (nur mit forensischer Lizenz)
* Der mit „Text“ bezeichnete Schalter, der die Vorschau der
Viewer-Komponente in eine Roh-Text-Ansicht umschaltet (was
z. B. sehr hilfreich ist, wenn Sie alle Kopfzeilen einer
E-Mail sehen möchten), heißt nun „Roh“, um das Bewußtsein
dafür etwas zu schärfen, daß dieser Modus normalerweise
_nicht_ wünschenswert zum Betrachten von Dateien ist, basie-
rend auf der Erfahrung, daß viele Anwender es vergessen, von
der Roh-Ansicht zur normalen Ansicht zurückzuschalten, und
sich dann wundern, daß z. B. Office-Dokumente nicht mehr
schön angezeigt werden. (nur mit forensischer Lizenz)
* Beim Exportieren von Suchtreffern in eine tabulatorsepa-
rierte Textdatei (nicht HTML), einschließlich Kontext, wurde
der eigentliche Suchbegriff zuvor durch „x“-Zeichen ersetzt.
Dies wurde behoben. (seit v14.8 SR-4)
* Beim Exportieren von Metadaten in eine tabulatorseparierte
Textdatei werden ursprüngliche Zeilenumbrüche und Tabulatoren
nun durch Leerzeichen ersetzt. (seit v14.8 SR-4)
* Ein Fehler wurde behoben, der beim Versuch auftrat, Ver-
zeichnisdaten (Verzeichniseinträge, INDX-Puffer usw.) mit der
indirekten Füllmethode in einen Container zu kopieren. (seit
v14.8 SR-3)
* Das Verwenden von Tastenkürzeln zum Erstellen von Berichts-
tabellenverknüpfungen ersetzt nun entweder bereits bestehende
Verknüpfungen oder oder nicht, in Abhängigkeit von der
Einstellung im Dialogfenster für Berichtstabellenverknüpfungen.
(seit v14.8 SR-3)
* Ein Fehler in der Version v14.8 SR-1 wurde mit SR-2 behoben,
der das automatische Interpretieren von Images mit mehreren
Segmenten sofort nach der Erstellung betraf, zum Zwecke der
Hash-Überprüfung oder des Ersetzens des Asservats. Die Images
selbst waren in Ordnung.
* Ein Fehler beim Wiederherstellen von alternative Daten-
strömen als alternative Datenströme wurde behoben. (seit
v14.8 SR-2)
* Eine mögliche Quelle von Instabiltität im Detailsmodus wurde
behoben. (seit v14.8 SR-1)
* Eine neue Option in investigator.ini wurde eingeführt, die
es verhindert, daß in X-Ways Investigator externe Dateien an
einen Datei-Überblick angehängt werden können. (seit v14.8 SR-1)
* Unter bestimmten Umständen konnte die Fortschrittsanzeige
für logische Suchen in ausgewählten Asservaten falsch sein.
Dies wurde behoben. (seit v14.8 SR-1)
and gebracht, wo sich Änderungen ergeben hatten.\u003cbr /\u003e\nDas Benutzerhandbuch wurde auch auf v14.9 angepaßt.\u003cbr /\u003e\n\u003cbr /\u003e\n* Die Version 8.2 der Viewer-Komponente wurde am 14. und 20.\u003cbr /\u003e\nMärz weiter aktualisiert. Sie friert beim Betrachten/\u003cbr /\u003e\nVerarbeiten bestimmter HTML-Dateien nicht mehr, die in der\u003cbr /\u003e\nVersion 8.1.9 normal funktioniert hatten. MS-Word-Dokumente,\u003cbr /\u003e\ndie aus einer einzigen Tabelle bestanden, werden nun wieder\u003cbr /\u003e\nrichtig angezeigt.\u003cbr /\u003e\n\u003cbr /\u003e\n——————————\u003cwbr /\u003e——————————\u003cwbr /\u003e-\u003cbr /\u003e\n\u003cbr /\u003e\nWenn Sie zwischen zwei Ausgaben des Newsletter über Service-\u003cbr /\u003e\nReleases informiert werden möchten, können Sie in unserem\u003cbr /\u003e\nForum einfach einen Account erstellen\u003cbr /\u003e\n( \u003ca onclick\u003d\"return top.js.OpenExtLink(window,event,this)\" href\u003d\"http://www.x-ways.net/winhex/forum/create-account.html\" target\u003d_blank\u003ehttp://www.x-ways.net/winhex\u003cwbr /\u003e/forum/create-account.html\u003c/a\u003e )\u003cbr /\u003e\nund E-Mail-Benachrichtigungen für den Bereich \u0026quot;Announcements\u0026quot;\u003cbr /\u003e\naktivieren.\u003cbr /\u003e\n\u003cbr /\u003e\n——————————\u003cwbr /\u003e——————————\u003cwbr /\u003e-\u003cbr /\u003e\n\u003cbr /\u003e\nFreundliche Grüße\u003cbr /\u003e\n\u003cbr /\u003e\nStefan Fleischmann\u003cbr /\u003e\n\u003cbr /\u003e\n–\u003cbr /\u003e\nX-Ways Software Technology AG\u003cbr /\u003e\nAgrippastr. 37-39\u003cbr /\u003e\n50676 Köln\u003cbr /\u003e\n\u003cbr /\u003e\nRegistergericht: AG Bad Oeynhausen HRB 7475\u003cbr /\u003e\nVorstand: Dipl.-Wirtsch.inf. Stefan Fleischmann\u003cbr /\u003e\nAufsichtsratsvorsitzende: Dr. Marlies Horstmeyer\u003cbr /\u003e\n\u003c/div\u003e",1]
);
//–>
* Schnellere Anzeige von Metadaten-Zellen im Verzeichnis-
Browser, wenn große Datenmengen extrahiert worden waren.
(since v14.8 SR-1)
* Diverse weitere kleinere Verbesserungen.
* Die Kurzanleitungen, die von der X-Ways Forensics Produkt-
seite herunterladbar sind, wurden für v14.8/v14.9 auf den
neuesten Stand gebracht, wo sich Änderungen ergeben hatten.
Das Benutzerhandbuch wurde auch auf v14.9 angepaßt.
* Die Version 8.2 der Viewer-Komponente wurde am 14. und 20.
März weiter aktualisiert. Sie friert beim Betrachten/
Verarbeiten bestimmter HTML-Dateien nicht mehr, die in der
Version 8.1.9 normal funktioniert hatten. MS-Word-Dokumente,
die aus einer einzigen Tabelle bestanden, werden nun wieder
richtig angezeigt.
Was sagen mit nur diese Buchstaben? 😉
http://computer.forensikblog.de/2008/04/die_drei_hersteller.html
Es wird wärmer
http://computer.forensikblog.de/2008/04/implementierung_von_hersteller_s.html